Политика конфиденциальности

1. Кто мы и что охватывает настоящая политика

Настоящая политика разъясняет, как Enterprise.Systems («мы») обрабатывает персональные данные на 8200.dev. В отношении данных учётной записи и веб-сайта мы являемся контролёром. В отношении данных внутри источников, подключённых вашей организацией («Данные источников клиента»), контролёром является ваша организация, а мы являемся её обработчиком в соответствии с Соглашением об обработке данных — обработка этих данных регулируется собственными уведомлениями о конфиденциальности вашей организации.

2. Данные, которые мы обрабатываем

Мы обрабатываем следующие категории:

• Данные учётной записи — адрес электронной почты, имя, хеш пароля, название организации, роль и локаль.
• Данные источников клиента — метаданные и информация о разрешениях из подключённых источников, получаемые только для чтения через одобренные вами области доступа OAuth: имена и идентификаторы ресурсов, настройки общего доступа, предоставленные разрешения и идентификаторы субъектов, имеющих доступ (люди, служебные учётные записи и агенты ИИ). Мы не читаем и не храним содержимое ваших файлов.
• Результаты анализа — выявленные проблемы безопасности, пояснения и доказательства, которые платформа формирует для вашей организации.
• Данные об использовании и журналы — IP-адрес, агент пользователя, отметки времени и журнал аудита действий на платформе, доступный только для добавления записей.
• Файлы cookie — сессионные файлы cookie, необходимые для входа в систему. Мы не используем рекламные файлы cookie или файлы cookie межсайтового отслеживания.

3. Как мы используем данные

Мы используем данные для предоставления и обеспечения безопасности сервиса: перечисления разрешений, генерации выявленных проблем и понятных пояснений на простом языке, вашей аутентификации, отправки транзакционных электронных писем (когда активна доставка электронной почты), оказания поддержки и выполнения юридических обязательств. Мы не продаём персональные данные, не показываем рекламу и не используем Исходные данные Клиента для обучения моделей ИИ.

4. Правовые основания (GDPR)

Там, где применяется GDPR, мы опираемся на:

• Исполнение договора (ст. 6(1)(b)) — функционирование вашей учётной записи и формирование выявленных проблем.
• Законные интересы (ст. 6(1)(f)) — обеспечение безопасности платформы, предотвращение злоупотреблений и повышение качества обнаружения.
• Согласие (ст. 6(1)(a)) — необязательные коммуникации; может быть отозвано в любое время.
• Юридическое обязательство (ст. 6(1)(c)) — бухгалтерский учёт, налогообложение и законные запросы.

5. Обработка с использованием ИИ

Часть анализа выполняется с использованием больших языковых моделей через Anthropic API. Мы передаём только те метаданные, которые необходимы для конкретного анализа. Согласно коммерческим условиям Anthropic, данные, передаваемые через API, не используются для обучения моделей Anthropic.

6. Субобработчики и передача данных

Мы передаём персональные данные только перечисленным ниже субобработчикам, профессиональным консультантам на условиях конфиденциальности либо в случаях, когда этого требует закон:

• Anthropic (США) — анализ метаданных с использованием ИИ.
• Cloudflare (глобально) — CDN, терминирование TLS и защита от DDoS.
• RunPod (США/ЕС) — облачная инфраструктура, на которой размещена платформа.
• Resend (США) — доставка транзакционной электронной почты после активации функций электронной почты.
• PayPal (США) — биллинг подписок и обработка платежей.

Мы обновляем этот список здесь; организации, заключившие DPA, получают предварительное уведомление о дополнениях в соответствии с DPA.

7. Хранение

Мы храним данные не дольше, чем это необходимо:

• Данные учётной записи — в течение всего срока существования вашей учётной записи. Удаление учётной записи имеет 7-дневный льготный период, по истечении которого данные удаляются безвозвратно.
• Выявленные проблемы и снимки разрешений — 24 месяца по умолчанию или в течение периода, настроенного вашей организацией.
• Операционные и аудиторские журналы — 90 дней.
• Удаление вашей учётной записи также влечёт удаление организаций, единоличным владельцем которых вы являетесь, включая их коннекторы (хранимые учётные данные уничтожаются немедленно), снимки и выявленные проблемы.

8. Ваши права

Согласно GDPR и аналогичным законам вы имеете право на доступ, исправление, удаление, переносимость, ограничение обработки и возражение, а также право не подвергаться решениям, основанным исключительно на автоматизированной обработке и имеющим правовые последствия (платформа не принимает в отношении вас таких решений). Экспорт и удаление выполняются самостоятельно: Настройки → Экспортировать мои данные / Удалить мою учётную запись. По любым иным вопросам пишите на [email protected] — мы отвечаем в течение 30 дней. Вы также вправе подать жалобу в свой надзорный орган.

9. Международная передача данных

Мы находимся в Израиле, в отношении которого действует решение ЕС об адекватности; инфраструктура функционирует в регионах, перечисленных в разделе «Субобработчики». В случаях передачи персональных данных из ЕЭЗ/Великобритании в страны без признанной адекватности мы опираемся на Стандартные договорные положения (SCC) Европейской комиссии и эквивалентные гарантии Великобритании, а также на дополнительные технические меры (шифрование при передаче и при хранении).

10. Калифорния (CCPA/CPRA)

Мы не продаём и не передаём персональную информацию в значении, определённом CCPA/CPRA, и не делали этого в течение предшествующих 12 месяцев. Жители Калифорнии имеют права знать, исправлять, удалять и не подвергаться дискриминации за реализацию этих прав — используйте инструменты самообслуживания в разделе «Настройки» или обращайтесь на [email protected].

11. Безопасность

Данные шифруются при передаче (TLS), а хранимые учётные данные шифруются в состоянии покоя (AES-256-GCM). Доступ к источникам предоставляется только для чтения и по принципу наименьших привилегий. Каждое действие на платформе записывается в журнал аудита, доступный только для добавления записей. Мы уведомляем затронутые организации о нарушениях, связанных с персональными данными, без неоправданной задержки, в соответствии со статьями 33–34 GDPR.

12. Дети

Платформа является B2B-сервисом и не предназначена для детей. Мы сознательно не обрабатываем данные лиц младше 16 лет в качестве владельцев учётных записей.

13. Изменения настоящей политики

Мы будем публиковать изменения здесь и обновлять дату вступления в силу; о существенных изменениях владельцы учётных записей уведомляются заблаговременно.

14. Сервисы Google API

Использование и передача компанией 8200.dev информации, полученной от Google API, любому другому приложению осуществляется в соответствии с Политикой Google API Services в отношении пользовательских данных (Google API Services User Data Policy), включая требования об ограниченном использовании (Limited Use).

15. Контакты и сотрудник по защите данных

Контакт по вопросам конфиденциальности и защиты данных (включая функцию DPO): [email protected].